网站域名安全②域名被盗路径之注册商漏洞

网站域名安全②域名被盗路径之注册商漏洞

上一篇① 邮箱失守讲了钥匙的第一处存放点，这一篇讲第二处——注册商账号本身。

账号这道门

域名被盗路径之注册商漏洞。即便邮箱没丢，注册商账号这道门照样能被撬：弱口令被爆破、客服被冒充、后台逻辑有缝，任何一条漏了，域名就裸奔。不少小注册商为拉客把安全做得很薄，界面漂亮、防护稀松，恰恰是最容易被一锅端的那批。

三类常见漏洞

一是弱口令与复用：很多人注册商密码和别处一样，一处泄露全网遭殃（呼应③ 社工攻击）。二是客服社工：骗子冒充你打电话给客服，靠掌握的几条信息骗开验证、改绑邮箱。三是后台越权：个别平台接口没做权限校验，能越权查别人域名。前两类靠用户习惯，第三类纯靠厂商良心。

怎么挑注册商

选平台看三件事：是否支持转移锁与 registrar lock（见⑦ 物理锁）、是否有完善 2FA 与登录告警、是否通过 ICANN 认证且有明确赎回条款。别只看价格，安全资质才是域名的保险柜。大平台出事概率低、出事有响应，小平台便宜但可能「省」掉了你的保障。

挑平台的硬指标

除了看资质，落地时还有两个硬指标：一是支持「账户变更需邮件加 2FA 双重确认」，二是有清晰的被盗申诉与冻结通道。别等出事才发现客服都联系不上。把这两点写进选商清单，比单纯比价格实在——便宜平台若救不回域，省下的钱不够赔。

读懂服务条款

选注册商时还有一处常被跳过：服务条款里关于「账户休眠」「争议处理时限」的细则。有的平台对长期不登录的账户作限制，有的对被盗申诉设了很短的窗口，这些细节平时无所谓、出事才致命。签约前花十分钟通读，把关键时限记进台账（见㉙ 台账审计），比事后翻条款慌张找入口强得多，也避免被条款里的免责坑到。

小团队也别裸奔

不是大公司才需要这些，个人站长同样该做基础防护：独立邮箱、强口令、2FA、转移锁，四样全开成本几乎为零。很多人觉得自己「不值得被盯」，但批量攻击不分大小，脚本扫到弱口令就下手。把基础四件套当默认设置，比事后补救省心太多，也让你和大型企业站在同一条起跑线上。

账户侧清单

• □ 注册商密码独立强口令，不复用。
• □ 开启 2FA 与异地登录告警。
• □ 优先选有转移锁、ICANN 认证的平台。
• □ 不向客服透露验证码，防冒充。

下一篇③ 社工攻击讲最便宜也最狠的一招——不攻系统，专攻人。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。